Mogen medewerkers klantgegevens in een AI-tool zetten?

Klantgegevens invoeren in een AI-tool is meestal een verwerking

Het invoeren van klantgegevens in een AI-tool valt in de meeste gevallen onder het begrip "verwerking van persoonsgegevens" zoals de AVG dat kent, en dat brengt dezelfde verplichtingen met zich mee als bij elke andere tool waarin klantgegevens terechtkomen. Zodra een naam, e-mailadres, ordernummer of ander gegeven dat naar een identificeerbare persoon te herleiden is in een chatbot, samenvattingstool of AI-assistent wordt geplakt, is er sprake van verwerking — ook als dat gebeurt voor iets kleins als het herschrijven van een e-mail.

Voor die verwerking geldt dat er een grondslag nodig is, bijvoorbeeld een gerechtvaardigd belang of uitvoering van een overeenkomst, en dat de AI-leverancier als verwerker wordt aangemerkt zodra die leverancier de gegevens namens de organisatie verwerkt. Dat betekent dat er een verwerkersovereenkomst met die leverancier hoort te zijn, net als bij elke andere SaaS-tool. Bij veel populaire AI-tools ligt de server buiten de EU, en dan komt de vraag naar een doorgifte naar een derde land erbij — met de bijbehorende waarborgen die de AVG daarvoor kent. Ook telt mee wat de leverancier met de ingevoerde gegevens doet: sommige tools gebruiken invoer om het eigen model te trainen, en dat is een ander soort verwerking dan alleen het genereren van een antwoord.

Waar dit op berust: artikelen 4, 6 en 28 van de AVG

De definitie van verwerking staat in artikel 4 van de AVG, de grondslagen voor rechtmatige verwerking in artikel 6, en de eisen aan de inzet van een verwerker — inclusief de verwerkersovereenkomst — in artikel 28. De regels voor doorgifte van gegevens buiten de EU staan in hoofdstuk V van de AVG. De EDPB heeft daarnaast richtsnoeren gepubliceerd die ingaan op de omgang met AI-systemen en persoonsgegevens, met aandacht voor onder meer de rol van de aanbieder en het gebruik van invoer voor modeltraining.